Kontrola dostępu oparta na rolach (RBAC)

Dzięki kontroli dostępu opartej na rolach (RBAC) użytkownicy i nazwy główne usług mogą przyjąć rolę w Azure Databricks, co zastępuje ich aktywne uprawnienia wyłącznie uprawnieniami tej roli na czas sesji. Używaj ról do wymuszania wyłącznego dostępu w projektach, ograniczania dostępu agenta do danych lub sprawienia, by administratorzy przestrzeni roboczej przejęli rolę do wykonywania zadań administracyjnych.

W Azure Databricks rola jest implementowana jako grupa. Udzielasz użytkownikom, podmiotom usługowym lub innym grupom uprawnienia do Assume dla tej grupy. Wszyscy członkowie grupy automatycznie mają uprawnienie Assume w odniesieniu do tej grupy. Możesz także bezpośrednio udzielić uprawnienia Assume osobom niebędącym członkami. Aby dowiedzieć się o konfiguracji i włączeniu, zobacz: Wprowadzenie do RBAC.

Diagram przedstawiający porównanie dziedziczenia uprawnień członka grupy (po lewej) z założeniem roli (po prawej). Gdy użytkownik przyjmuje rolę, tylko uprawnienia roli mają zastosowanie do sesji, zastępując dziedziczone uprawnienia grupy użytkownika.

Jak uprawnienia do roli są stosowane

Tożsamość ma uprawnienia nadane jej bezpośrednio, plus te odziedziczone od grup, do których należy, oraz od ich przodków. Przyjęcie roli zastępuje te uprawnienia bezpośrednimi i dziedziczonymi uprawnieniami dla sesji.

Gdy użytkownik przyjmuje rolę:

  • Uprawnienia przyjętej roli zastępują uprawnienia użytkownika. Gdy użytkownik działa w ramach tej roli, nie ma dostępu do danych ani zasobów przy użyciu swojej tożsamości użytkownika.
  • Użytkownik może pełnić tylko jedną rolę jednocześnie.
  • Aby działać w innej roli lub powrócić do swojej tożsamości użytkownika, muszą ponownie się przełączyć. Użytkownicy, którzy nie są przypisani do przestrzeni roboczej, nie mogą wrócić do swojej tożsamości użytkownika. Zobacz Kiedy musisz przejąć rolę, aby wejść do przestrzeni roboczej.
  • Role dziedziczą uprawnienia ze swoich grup nadrzędnych. Domyślnie Twoje role dziedziczą także uprawnienia przyznane grupie systemowej users obszaru roboczego oraz grupie systemowej konta account users, które niejawnie obejmują wszystkie grupy kont. Uprawnienia przyznane users dotyczą obiektów przestrzeni roboczej i obliczeń. Uprawnienia katalogu Unity mogą być przyznawane elementowi account users, ale nie elementowi users. Aby zarządzać tymi uprawnieniami, zobacz listy kontroli dostępu oraz Pokaż, przyznaj i cofnij uprawnienia.
  • Zdarzenia audytowe odróżniają tożsamość inicjującą (identity_metadata.run_by) od tożsamości używanej do autoryzacji (identity_metadata.run_as). W przypadku interaktywnych żądań identyfikują one odpowiednio użytkownika i rolę. Zobacz Zweryfikuj atrybucję audytu.
  • Rola jest właścicielem obiektów Unity Catalog podlegających zabezpieczeniom oraz obiektów workspace, które użytkownik tworzy podczas pełnienia roli, takich jak tabele, notatniki, zapytania SQL, magazyny SQL oraz zadania.
  • Genie One (na poziomie przestrzeni roboczej), Genie Code i Genie Agents wspierają RBAC. Gdy użytkownik działa w roli, te funkcje mogą uzyskać dostęp tylko do danych i zasobów, do których dana rola ma dostęp. Rola ta jest właścicielem wszystkich czatów Genie, które użytkownik tworzy podczas pełnienia roli.

Zarządzanie rolami

Twórz role, zarządzaj uprawnieniami Assume i wybieraj, jak użytkownicy i obciążenia robocze przyjmują rolę.

Temat Description
Rozpocznij Twórz role, konfiguruj dostęp i zarządzaj uprawnieniem Assume.
Przełączanie ról Przejmij rolę za pomocą interfejsu workspace, dedykowanego przetwarzania obliczeniowego, Databricks CLI, API lub narzędzi BI firm trzecich.
Używaj z ABAC Zrozum, jak polityki kontroli dostępu opartej na atrybutach (ABAC) oceniają aktywną rolę.

Zarządzanie udostępnianiem

Kontroluj, czy użytkownicy pełniący rolę mogą udostępniać zasoby należące do tej roli.

Temat Description
Kontrole współdzielenia zasobów w przestrzeni roboczej Ogranicz wybranym rolom możliwość udostępniania posiadanych przez nie zasobów przestrzeni roboczej.

Tutorials

Postępuj zgodnie z pełną procedurą konfiguracji i weryfikacji wymaganego dostępu.

Tutorial Description
Wyłączny dostęp do modelu Zachowaj oddzielne dane z dwóch badań klinicznych, wymagając od naukowców przyjęcia roli w każdym badaniu.
Wymagaj roli do uzyskania dostępu do przestrzeni roboczej Wymagaj od wybranych użytkowników przyjęcia roli, aby wejść do przestrzeni roboczej.
Określ zakres dostępu agenta AI Ogranicz agenta do uprawnień roli za pomocą tokena OAuth w zakresie roli.
Użyj roli do zadań administracyjnych Oddziel codzienną pracę od administracji, używając roli administratora przestrzeni roboczej.

Limitations

Sprawdź obsługę funkcji i znane problemy przed użyciem roli w przypadku swoich obciążeń.

Temat Description
Limitations Przejrzyj niewspierane funkcje, częściowe wsparcie i obejścia podczas działania w roli.
  • Ostatnia aktualizacja o